Come comunicare incidenti dati personali: guida per responsabili

Se un incidente ha coinvolto dati personali e il rischio per i diritti e le libertà delle persone non è improbabile, il titolare del trattamento deve notificarlo al Garante per la protezione dei dati personali. Quando quel rischio è elevato, scatta anche l’obbligo distinto di informare direttamente gli interessati. Non sono due opzioni intercambiabili: sono due soglie diverse, con tempi e destinatari diversi.

La tempistica non lascia molto margine di manovra. La notifica all’autorità va inviata senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui il titolare ne è venuto a conoscenza. Se si supera questo termine, la notifica deve spiegare il motivo del ritardo: non basta arrivare tardi, bisogna motivarlo.

• Notifica al Garante: obbligatoria se sono coinvolti dati personali e il rischio per gli interessati non è improbabile.
• Comunicazione agli interessati: obbligatoria solo se il rischio è elevato, non semplicemente presente.
• Primo passo concreto: avviare un triage rapido e coinvolgere subito il responsabile della protezione dei dati (RPD/DPO) insieme al team di risposta agli incidenti.

Il Garante ricorda che la notifica va inviata tramite la procedura telematica disponibile sul proprio portale, e che il conto alla rovescia parte dal momento della scoperta, non da quando si conclude l’indagine interna. Chi aspetta di avere «tutte le informazioni» prima di muoversi rischia già di essere fuori tempo massimo.

Punti chiave

Comunicare correttamente un incidente dati personali richiede rispettare due soglie distinte, notifica al Garante entro 72 ore e comunicazione agli interessati solo in caso di rischio elevato, documentando ogni decisione.

Indice

• Cosa si intende per violazione dei dati personali
• Quando notificare il Garante: soglia, 72 ore e primo triage
• Cosa scrivere nella notifica al Garante: i campi obbligatori
• Quando comunicare agli interessati: soglia più alta e canali giusti
• Cosa scrivere agli interessati (e cosa evitare assolutamente)
• Le eccezioni: quando non serve avvisare gli interessati
• Il registro delle violazioni: cosa registrare e come conservarlo
• Chi fa cosa in azienda quando scatta un incidente
• Checklist e modelli pronti per la notifica e la comunicazione
• Tre casi pratici: come si decide davvero
• Cosa conta davvero quando arriva un’ispezione
• Come Securityhub supporta la gestione degli incidenti e la conformità
• Fonti

Cosa si intende per violazione dei dati personali

Il GDPR definisce la violazione dei dati personali come qualsiasi evento che comporti distruzione, perdita, modifica, divulgazione non autorizzata o accesso non autorizzato a dati personali trasmessi, conservati o trattati in altro modo. È una definizione volutamente ampia, che copre incidenti tecnici e comportamenti umani.

Nella pratica di una PMI o di un ente, questo si traduce in eventi molto diversi tra loro:

• furto o smarrimento di un dispositivo aziendale con dati non protetti;
• accesso non autorizzato a un sistema da parte di un dipendente o di un terzo;
• esposizione accidentale di un database su un server pubblico;
• perdita di un backup non cifrato;
• attacco ransomware con esfiltrazione di dati prima della cifratura.

Non tutti gli incidenti di sicurezza informatica sono automaticamente violazioni ai sensi del GDPR. Un malware bloccato dall’antivirus prima di toccare qualunque dato non è un data breach da notificare. Il primo filtro che ogni responsabile dovrebbe applicare è semplice: ci sono dati personali coinvolti, e quei dati sono usciti dal perimetro previsto o sono stati alterati senza autorizzazione?

Un evento di sicurezza diventa un incidente da comunicare solo quando riguarda dati personali reali, non semplici tentativi di intrusione respinti o vulnerabilità non sfruttate.

Chi gestisce dati in ambienti cloud o infrastrutture condivise dovrebbe conoscere bene questa distinzione anche in fase di prevenzione: la guida su cosa sono i dati personali e l’approfondimento sul concetto di data breach aiutano a inquadrare correttamente i casi limite prima che si trasformino in emergenze.

Quando notificare il Garante: soglia, 72 ore e primo triage

La notifica all’autorità di controllo diventa obbligatoria quando si verificano due condizioni insieme: l’incidente coinvolge dati personali e non è improbabile che comporti un rischio per i diritti e le libertà delle persone fisiche. La soglia è volutamente bassa: non serve la certezza del danno, basta che il rischio non sia escludibile con ragionevole sicurezza.

Il termine delle 72 ore non parte da quando si conclude l’analisi tecnica, ma dal momento in cui il titolare del trattamento è venuto a conoscenza della violazione o ha ragionevoli motivi per sospettarla. Questo dettaglio cambia molto la gestione interna: un sospetto fondato, anche prima della conferma definitiva, fa già scattare il conteggio.

Il 3% dei fatturati globali è il tetto massimo previsto dal GDPR per le sanzioni più gravi, e le violazioni procedurali sulla notifica rientrano tra le condotte che l’autorità può sanzionare con severità, proprio perché riguardano un obbligo di trasparenza verso il sistema di controllo, non solo verso i singoli interessati.

Il flusso operativo dei primi momenti dovrebbe seguire questa sequenza:

1. Raccogliere gli elementi essenziali dell’evento: quando è stato scoperto, come, quali sistemi sono coinvolti.
2. Isolare i sistemi compromessi per limitare la propagazione, senza distruggere le evidenze.
3. Fare una prima stima, anche approssimativa, del numero e delle categorie di interessati coinvolti.
4. Coinvolgere immediatamente il RPD/DPO, che ha il compito di valutare formalmente il rischio.
5. Decidere se procedere alla notifica e, in caso affermativo, iniziare a compilare la procedura telematica.

Un consiglio: non aspettare di avere il quadro completo prima di contattare il DPO. La legge stessa prevede che alcune informazioni possano essere integrate in un secondo momento: meglio notificare con dati parziali entro i termini che aspettare la perfezione e arrivare fuori tempo.

Il portale ufficiale del Garante per la notifica del data breach è lo strumento tecnico attraverso cui va inviata la segnalazione dal 1° luglio 2021. Sul sito è disponibile anche uno strumento di autovalutazione che aiuta a stabilire se l’evento supera davvero la soglia di notificabilità, utile soprattutto nei casi dubbi dove il rischio non è evidente a prima vista.

Cosa scrivere nella notifica al Garante: i campi obbligatori

L’articolo 33, paragrafo 3, del GDPR elenca in modo puntuale le informazioni minime che la notifica deve contenere. Non è un modulo generico: ogni campo ha uno scopo preciso nella valutazione che l’autorità farà del caso.

• Natura della violazione: descrivere cosa è successo (accesso non autorizzato, perdita, distruzione) e come è stato scoperto, con linguaggio chiaro e senza tecnicismi superflui.
• Categorie e numero approssimativo di interessati: anche una stima ragionata va bene se il numero esatto non è ancora disponibile; meglio un intervallo credibile che un dato inventato.
• Categorie e numero approssimativo di registrazioni di dati personali: distinguere, quando possibile, tra dati identificativi, finanziari, sanitari o altre categorie particolari.
• Contatti del DPO o del punto di riferimento: un nominativo e un recapito diretto, non un indirizzo generico dell’azienda.
• Probabili conseguenze della violazione: rischio di furto d’identità, frode, danno reputazionale o altro, spiegato in termini concreti.
• Misure adottate o proposte: cosa è stato fatto per contenere l’incidente e cosa si intende fare per prevenirne di simili.

Un consiglio: se al momento della notifica non hai ancora tutti i numeri definitivi, invia comunque la notifica entro le 72 ore con le informazioni disponibili e specifica che seguirà un aggiornamento. La possibilità di fornire dati in fasi successive è prevista esplicitamente dalla norma ed è molto più sicura che aspettare.

Quando comunicare agli interessati: soglia più alta e canali giusti

La comunicazione diretta agli interessati non è dovuta ogni volta che si notifica al Garante. Scatta solo quando la violazione è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche: una soglia volutamente più severa di quella prevista per la notifica all’autorità, pensata per evitare che gli interessati ricevano avvisi ogni volta che accade un incidente minore.

Anche qui vale il principio del «senza indebito ritardo»: prima si comunica, prima le persone possono attivarsi per proteggersi (cambiare password, bloccare una carta, monitorare movimenti sospetti). In alcuni casi, quando il rischio riguarda l’incolumità fisica o la libertà personale, la collaborazione con le forze dell’ordine diventa parte integrante della gestione dei tempi.

Le linee guida dell’EDPB indicano canali concreti, da scegliere in base al contesto:

• messaggi diretti e personalizzati (email, SMS, chiamata telefonica);
• banner prominenti o notifiche push sull’applicazione o sul sito usato dagli interessati;
• comunicazioni postali quando il contatto digitale non è disponibile o affidabile;
• comunicazione pubblica equivalente (comunicato stampa, avviso sul sito) quando il contatto individuale richiederebbe uno sforzo sproporzionato.

Per scegliere il canale giusto, un flusso decisionale semplice aiuta a non perdere tempo:

1. Esiste un recapito diretto e affidabile per ogni interessato? Se sì, usa contatto diretto e personalizzato.
2. Il recapito disponibile potrebbe essere stato compromesso dallo stesso attacco (es. l’account email violato)? Se sì, scegli un canale alternativo.
3. Il numero di interessati è talmente alto, o i recapiti talmente incompleti, da rendere il contatto individuale irrealistico? Allora valuta la comunicazione pubblica equivalente.

Un consiglio: evita di usare come unico canale un sistema che potrebbe essere stato compromesso dall’incidente stesso. Se l’attacco ha coinvolto il server di posta aziendale, comunicare via email agli interessati senza un canale alternativo è un errore che l’EDPB segnala esplicitamente tra le prassi da evitare.

Cosa scrivere agli interessati (e cosa evitare assolutamente)

Il contenuto minimo della comunicazione agli interessati ricalca in buona parte i punti richiesti per la notifica al Garante: nome e contatti del DPO o del punto di riferimento, probabili conseguenze della violazione, misure adottate o proposte per porvi rimedio. La differenza sta nel linguaggio: qui il destinatario non è un funzionario tecnico, ma una persona che deve capire in pochi secondi cosa fare.

Una comunicazione efficace dice chiaramente cosa è successo, quali dati sono coinvolti e quali azioni concrete l’interessato può intraprendere: cambiare la password su un determinato servizio, monitorare l’estratto conto per movimenti sospetti, bloccare temporaneamente una carta di pagamento. Le indicazioni pratiche contano più delle scuse formali.

• Usa frasi brevi e dirette: «Il 12 marzo 2026 abbiamo rilevato un accesso non autorizzato al database clienti» funziona meglio di descrizioni tecniche sui vettori di attacco.
• Indica sempre un’azione concreta da compiere, non solo la descrizione del problema.
• Fornisci un contatto diretto per domande, non un modulo generico senza risposta garantita.
• Evita di minimizzare senza prove: scrivere «non c’è alcun rischio» quando la valutazione interna non lo conferma espone a responsabilità aggiuntive.

Una comunicazione tempestiva e chiara non serve solo a rispettare la norma: riduce concretamente il danno per le persone coinvolte, se dà loro indicazioni operative su cosa fare subito.

Un consiglio: se tra gli interessati ci sono persone con esigenze di accessibilità, o gruppi che parlano prevalentemente lingue diverse dall’italiano, prevedi formati alternativi e traduzioni essenziali. Un avviso che nessuno riesce a leggere non vale come comunicazione effettiva.

Chi si occupa di comunicazione esterna in azienda dovrebbe evitare anche gli errori più comuni nella gestione dei messaggi di crisi: la guida agli errori di comunicazione aziendale da evitare offre spunti utili per non aggravare la situazione con un tono sbagliato o messaggi contraddittori.

Le eccezioni: quando non serve avvisare gli interessati

L’articolo 34, paragrafo 3, del GDPR prevede tre condizioni che escludono l’obbligo di comunicazione diretta agli interessati, anche quando il rischio sarebbe altrimenti elevato.

• Misure tecniche e organizzative adeguate applicate prima dell’incidente, come la cifratura, che rendono i dati incomprensibili a chiunque non sia autorizzato ad accedervi.
• Misure successive adottate dal titolare che eliminano concretamente la probabilità che il rischio elevato si concretizzi (ad esempio la disattivazione immediata degli account compromessi prima di qualunque uso illecito).
• Sforzo sproporzionato nel comunicare individualmente: in questo caso la norma richiede comunque una forma di comunicazione pubblica equivalente, non l’assenza totale di comunicazione.

Applicare una di queste eccezioni non significa poter ignorare l’accaduto. Il registro delle violazioni deve documentare perché si è scelto di non comunicare, con quali basi tecniche o organizzative, così da poter dimostrare la scelta in caso di verifica.

Un consiglio: quando decidi di non comunicare agli interessati, scrivi una breve relazione motivata contestuale alla decisione, non a distanza di mesi. La mancanza di questa documentazione è uno dei motivi più frequenti per cui un’autorità di controllo mette in discussione una valutazione altrimenti corretta.

Il registro delle violazioni: cosa registrare e come conservarlo

L’accountability prevista dall’articolo 33, paragrafo 5, impone di documentare ogni violazione, anche quelle che non vengono notificate al Garante. Il registro non è un adempimento burocratico fine a sé stesso: è la prova che permette di dimostrare, mesi o anni dopo, che la valutazione fatta all’epoca era ragionevole.

Un consiglio: tieni il registro in un formato strutturato e accessibile solo al personale autorizzato, con backup separato dai sistemi che potrebbero essere colpiti da un futuro incidente. Un registro conservato sullo stesso server compromesso da un attacco perde gran parte della sua utilità probatoria.

Chi gestisce ambienti cloud multi-tenant dovrebbe integrare questa pratica con un controllo regolare degli accessi: la guida al monitoraggio degli accessi ai dati personali spiega come impostare controlli che rendano più facile ricostruire la cronologia di un incidente quando serve davvero.

Chi fa cosa in azienda quando scatta un incidente

La gestione di un incidente dati personali funziona solo se i ruoli sono definiti prima che l’emergenza arrivi, non durante. Un flusso confuso nelle prime ore è la causa più comune di notifiche tardive o incomplete.

• Titolare del trattamento: decide formalmente se notificare e comunicare, sulla base della valutazione del rischio; risponde legalmente delle scelte fatte.
• RPD/DPO: valuta il rischio, consiglia sulla notificabilità, supervisiona la compilazione della notifica e mantiene i rapporti con il Garante.
• Responsabile IT o team tecnico: isola i sistemi, raccoglie le evidenze tecniche, stima l’estensione dell’incidente.
• Team legale e comunicazione: predispone i testi per interessati e autorità, valuta le implicazioni contrattuali e reputazionali.
• Team di primo intervento: applica le prime azioni di contenimento entro le prime ore dalla scoperta.

Il flusso decisionale, in sintesi, segue questa sequenza: segnalazione interna dell’anomalia, triage tecnico immediato, attivazione del RPD/DPO per la valutazione del rischio, decisione formale su notifica e comunicazione, esecuzione e documentazione nel registro delle violazioni.

Se il trattamento coinvolge fornitori esterni o responsabili del trattamento in cloud, i contratti dovrebbero prevedere l’obbligo di segnalazione immediata al titolare non appena il fornitore rileva un incidente, insieme a un dovere di piena collaborazione durante l’indagine. Chi opera su infrastrutture cloud condivise trova indicazioni operative aggiuntive nella guida alla gestione degli incidenti in ambienti cloud e alla certificazione ISO 27017.

Checklist e modelli pronti per la notifica e la comunicazione

Nei primi tre giorni dopo la scoperta di un incidente, la sequenza di azioni conta più della perfezione formale di ogni singolo documento.

1. Giorno 0: isolare i sistemi coinvolti, raccogliere log ed evidenze, contattare il RPD/DPO.
2. Giorno 0-1: stimare categorie e numero approssimativo di interessati, valutare formalmente il livello di rischio.
3. Giorno 1-2: decidere se notificare il Garante e se comunicare agli interessati; iniziare a compilare la procedura telematica.
4. Giorno 2-3: inviare la notifica (anche parziale) entro le 72 ore; predisporre, se necessario, la comunicazione agli interessati.

Per la notifica al Garante, un template minimo dovrebbe già includere: data e ora di scoperta, descrizione sintetica dell’evento, categorie e numero stimato di interessati, contatti del DPO, misure di contenimento già adottate. Compilare questi campi in bozza prima ancora dell’accesso al portale telematico riduce drasticamente il tempo di invio.

Per la comunicazione agli interessati, un esempio di struttura semplice:

• oggetto chiaro («informativa su un incidente di sicurezza che ti riguarda»);
• descrizione dell’evento in due o tre frasi, senza tecnicismi;
• elenco puntato delle azioni consigliate (cambio password, verifica movimenti, blocco carta);
• contatto diretto per domande.

Un consiglio: adatta sempre il modello alla scala dell’incidente. Un’esposizione limitata a poche decine di record richiede un tono e un livello di dettaglio diverso rispetto a una violazione su scala nazionale con migliaia di interessati coinvolti.

Le aziende che operano nel settore assicurativo, sanitario o finanziario, dove i dati trattati sono spesso categorie particolari, dovrebbero personalizzare ulteriormente questi modelli: la guida pratica alla gestione degli incidenti privacy per le PMI approfondisce come calibrare checklist e modelli in base al settore.

Tre casi pratici: come si decide davvero

Caso 1: esposizione di un database clienti. Un errore di configurazione lascia un database con nomi, email e numeri di telefono accessibile pubblicamente per alcune ore. Il rischio non è improbabile (dati esposti a chiunque) e può diventare elevato se si tratta di migliaia di persone esposte a phishing mirato. Decisione: notifica al Garante entro 72 ore e comunicazione diretta agli interessati con indicazioni su come riconoscere tentativi di phishing.

Caso 2: furto di un laptop aziendale cifrato. Un dipendente subisce il furto del laptop, ma il disco è cifrato con uno standard robusto e la chiave non era accessibile insieme al dispositivo. Il rischio per gli interessati è basso perché i dati restano incomprensibili a chi lo ha sottratto. Decisione: si registra l’evento nel registro delle violazioni con la motivazione basata sulla cifratura, senza necessariamente notificare né comunicare, ma documentando ogni passaggio della valutazione.

Caso 3: attacco ransomware con esfiltrazione di dati sensibili. Prima della cifratura dei sistemi, gli attaccanti hanno copiato dati sanitari di alcune migliaia di pazienti. Qui il rischio è elevato per definizione, trattandosi di categorie particolari di dati. Decisione: notifica immediata al Garante con tutte le informazioni disponibili anche se parziali, comunicazione diretta agli interessati tramite canali alternativi (posta, non email se il sistema di posta aziendale è stato compromesso), e coinvolgimento delle forze dell’ordine.

In ciascun caso, la notifica al Garante deve riportare la natura dell’evento, la stima degli interessati coinvolti e le misure di mitigazione già intraprese, mentre la comunicazione agli interessati si concentra sulle azioni pratiche che le persone possono compiere subito.

Cosa conta davvero quando arriva un’ispezione

Nella mia esperienza di analisi di questi processi, l’errore più comune non è mancare la notifica: è non riuscire a dimostrare, mesi dopo, di aver fatto una valutazione seria al momento giusto. Le aziende che si trovano in difficoltà davanti a una verifica del Garante spesso avevano preso decisioni ragionevoli, ma non le avevano documentate con la stessa cura.

Documentare anche i «near miss», gli incidenti sfiorati che non hanno superato la soglia di notificabilità, rafforza molto la posizione difensiva dell’azienda. Dimostra che esiste un processo di monitoraggio reale, non solo una procedura scritta e mai applicata. Conservare una timeline precisa, con orari e decisioni annotate man mano che accadono, vale più di qualunque ricostruzione fatta a posteriori. Le prove costruite in tempo reale reggono meglio di quelle ricostruite quando l’ispettore è già alla porta.

Come Securityhub supporta la gestione degli incidenti e la conformità

Gestire correttamente un incidente dati personali richiede procedure testate prima che l’emergenza arrivi, non improvvisate mentre l’orologio delle 72 ore corre. Securityhub affianca aziende italiane del settore cloud e del trattamento dati nella preparazione della documentazione necessaria a rispondere con rapidità: modelli di notifica al Garante, esempi di comunicazione agli interessati, esercitazioni simulate (tabletop) per testare il flusso decisionale interno prima che si verifichi un incidente reale.

Un’azienda già certificata, o in percorso di certificazione, arriva alla gestione di un data breach con processi collaudati invece che con documenti scritti sotto pressione.

Se la tua organizzazione ha bisogno di rafforzare la propria capacità di risposta agli incidenti e vuole valutare un percorso verso la certificazione, la guida completa alla certificazione ISO 27001 di Securityhub illustra i passaggi concreti, dall’analisi dei requisiti fino al superamento dell’audit. Contatta Securityhub per una valutazione iniziale del tuo livello di preparazione e per ricevere un pacchetto di modelli e checklist operative su misura per il tuo settore.

Fonti

Per approfondire i riferimenti normativi citati in questa guida, alcune fonti restano indispensabili per chi gestisce direttamente notifiche e comunicazioni:

• Linee guida 9/2022 sulla notifica delle violazioni dei dati personali (EDPB) – versione IT
• Gdpr-info
• Data Breach – Violazioni di dati personali – Garante per la protezione dei dati personali

Questo articolo fornisce informazioni generali e non sostituisce il parere di un avvocato qualificato. Consulta un professionista legale qualificato riguardo al tuo caso specifico prima di agire in base a questo contenuto.

Raccomandati

• Errori gestione dati personali: guida pratica 2026 – Security Hub
• Gestione incidenti privacy: guida pratica per PMI – Security Hub
• Come proteggere i dati personali GDPR: guida PMI – Security Hub
• Che cosa sono i dati personali: guida GDPR 2026 – Security Hub